Governance und Recht
EU AI Act: die Checkliste für den Mittelstand.
Was seit wann gilt und was jetzt konkret zu tun ist, ohne Juristendeutsch. Zehn Punkte, alle Termine, mit Verweisen auf die Originaltexte.
Stand
Einordnung
Worum es geht.
Der EU AI Act (Verordnung 2024/1689) ist das KI-Gesetz der Europäischen Union. Er gilt unmittelbar in jedem Mitgliedstaat und stuft KI-Systeme nach Risiko ein. Seit dem 27. Juli 2026 gilt er in der Fassung der Änderungsverordnung (EU) 2026/1744, die Termine unten folgen dieser Fassung.
Verbotenes ist verboten, Hochrisiko wird streng reguliert, für den großen Rest gelten vor allem Kompetenz- und Transparenzpflichten. Die Pflichten treten gestaffelt in Kraft, und die meisten davon gelten bereits.
Termine
Was gilt seit wann.
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken (Artikel 5) und die Pflicht, Maßnahmen für die KI-Kompetenz der Beschäftigten zu ergreifen (Artikel 4). Beides gilt bereits. |
| 2. August 2025 | Regeln für Allzweck-KI-Modelle. Betrifft primär die Anbieter der Modelle, nicht die Unternehmen, die sie nutzen. |
| 27. Juli 2026 | Die Änderungsverordnung (EU) 2026/1744 tritt in Kraft. Sie fasst Artikel 4 neu und verschiebt die Termine für Hochrisiko-Systeme. |
| 2. August 2026 | Transparenzpflichten (Artikel 50): KI-Kontakt erkennbar machen, KI-erzeugte Inhalte in bestimmten Fällen kennzeichnen. |
| 2. Dezember 2026 | Ältere KI-Systeme müssen nachträglich kennzeichnen. Betroffen sind Systeme, die Texte, Bilder, Töne oder Videos erzeugen und vor dem 2. August 2026 auf den Markt kamen. Ihre Ergebnisse müssen ab diesem Tag maschinenlesbar als künstlich erzeugt markiert sein (Artikel 50 Absatz 2 mit Artikel 111 Absatz 4). Die Pflicht trifft den Anbieter des Systems. Am selben Tag gelten zwei neue Verbote in Artikel 5. Verboten ist KI, die ohne Einwilligung intime Darstellungen einer bestimmbaren Person erzeugt. Ebenso KI, die Darstellungen sexuellen Kindesmissbrauchs erzeugt. |
| 2. Dezember 2027 | Pflichten für Hochrisiko-Systeme nach Anhang III, etwa in Personalauswahl oder Kreditvergabe. Verschoben durch die Verordnung (EU) 2026/1744. |
| 2. August 2028 | Pflichten für Hochrisiko-Systeme in regulierten Produkten (Anhang I). Ebenfalls verschoben durch die Verordnung (EU) 2026/1744. |
Die Checkliste
Zehn Punkte, in dieser Reihenfolge.
-
01
Bestandsaufnahme machen
Alle KI-Systeme im Haus erfassen, auch die inoffiziellen. Welche Werkzeuge nutzen Mitarbeitende tatsächlich, und mit welchen Daten?
-
02
Rolle klären
Anbieter oder Betreiber? Die meisten Mittelständler betreiben fremde KI-Systeme, statt eigene anzubieten. Daran hängen die Pflichten.
-
03
Jedes System einstufen
Verboten, Hochrisiko, begrenztes oder minimales Risiko. Für die meisten Alltagswerkzeuge ist das schnell erledigt. Einmal sauber gemacht werden muss es trotzdem.
-
04
Verbote ausschließen
Seit Februar 2025 verboten sind unter anderem Social Scoring und Emotionserkennung am Arbeitsplatz, mit engen Ausnahmen. Das klingt fern. Es steckt aber schneller in zugekaufter Software, als man denkt.
-
05
KI-Kompetenz fördern und belegen
Artikel 4 verlangt seit Februar 2025 Maßnahmen, die die KI-Kompetenz Ihrer Beschäftigten fördern, passend zu Kenntnissen und Einsatz. Ein bestimmtes Niveau je Person schreibt er seit dem 27. Juli 2026 nicht mehr vor. Ein Rundschreiben ist trotzdem keine Maßnahme. Die fertige Umsetzung ist meine KI-Schulung in 30 Minuten, ihr Zertifikat für die Personalakte belegt die Maßnahme.
-
06
Transparenz vorbereiten
Bis zum 2. August 2026 sind zwei Dinge zu klären: Chatbots als KI erkennbar machen und die Kennzeichnung von KI-Inhalten regeln, wo Artikel 50 sie verlangt.
-
07
DSGVO parallel prüfen
Die DSGVO gilt neben dem AI Act. Prüfen Sie Auftragsverarbeitungsverträge, Datenflüsse und möglichst EU-Hosting.
-
08
Hochrisiko-Fälle identifizieren
Nutzt das Unternehmen KI in Personalauswahl, Bewertung oder Kreditentscheidungen? Dann gelten für diese Systeme ab dem 2. Dezember 2027 die Pflichten für Hochrisiko-Systeme. Die Einstufung aus Punkt 03 zeigt, ob Sie betroffen sind.
-
09
Verantwortung benennen
Der AI Act schreibt keinen KI-Beauftragten vor. Trotzdem muss jemand die Punkte 1 bis 8 tragen und nachweisen können. Wer das ist, hält die Prüfung fest.
-
10
Dokumentation aufbauen
Register der Systeme, Einstufungen, Schulungsnachweise, Verträge. So, dass eine Prüfung kein Projekt auslöst, sondern einen Ordner öffnet.
Ehrlichkeit
Was diese Checkliste ist und was nicht.
Diese Checkliste ordnet und priorisiert. Eine Rechtsberatung im Einzelfall ersetzt sie nicht. Ich arbeite auf Basis der verlinkten Originaltexte und ziehe bei rechtlichen Detailfragen Ihre Kanzlei hinzu.
Die Termine folgen der Verordnung in der Fassung der Änderungsverordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026. Ändert sich die Rechtslage, aktualisiere ich diese Seite.
Wie die Punkte in der Praxis aussehen, zeigt die Dimension Governance und Recht.
Wo Ihr Haus bei diesen Punkten steht, nimmt die Prüfung auf.
Häufige Fragen
Was Unternehmen zum EU AI Act fragen.
Für wen gilt der EU AI Act?
Für alle Unternehmen, die KI-Systeme in der EU anbieten oder einsetzen, unabhängig von der Größe. Die Pflichten sind risikobasiert abgestuft: Wer nur Alltagswerkzeuge wie Text-KI nutzt, trägt deutlich weniger Pflichten als der Betreiber eines Hochrisiko-Systems, etwa bei der Personalauswahl. Die meisten Mittelständler sind Betreiber, nicht Anbieter, und genau davon hängen die Pflichten ab.
Was gilt ab dem 2. August 2026?
Ab dem 2. August 2026 greifen die Transparenzpflichten des Artikel 50: Wer einen Chatbot einsetzt, muss erkennbar machen, dass Nutzer mit einer KI sprechen. KI-erzeugte Inhalte müssen in bestimmten Fällen als solche gekennzeichnet werden, insbesondere Deepfakes. Die Verbote und die Pflicht zu Maßnahmen für die KI-Kompetenz der Beschäftigten gelten bereits seit Februar 2025. Ab dem 2. Dezember 2026 gilt die maschinenlesbare Kennzeichnung auch für KI-Systeme, die schon vorher auf dem Markt waren.
Welche Strafen drohen bei Verstößen?
Der EU AI Act sieht abgestufte Bußgelder vor. Am oberen Ende, bei verbotenen KI-Praktiken, bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Für die meisten Mittelständler ist aber nicht die Maximalstrafe der relevante Punkt, sondern der Nachweis: dokumentieren zu können, dass die eigenen KI-Systeme erfasst und eingestuft sind und die Beschäftigten geschult werden.
Gilt der EU AI Act auch für kleine Unternehmen?
Ja, es gibt keine generelle Ausnahme für kleine und mittlere Unternehmen. Der risikobasierte Ansatz sorgt aber dafür, dass der Aufwand für die meisten überschaubar bleibt: Wer keine Hochrisiko-Systeme betreibt, muss vor allem seine KI-Nutzung kennen, die Verbote ausschließen, die KI-Kompetenz der Beschäftigten fördern und seit August 2026 die Transparenzregeln einhalten.
Nächster Schritt
Wo steht Ihr Unternehmen bei den zehn Punkten?
In der Prüfung gehe ich die Liste mit Ihnen durch, gegen Ihre echte KI-Nutzung. Das Ergebnis ist ein Bericht, kein Pitch.
- op@oliverpause.de
- Telefon
- 01556 3777347
- Anschrift
- Heitmannstraße 28
22083 Hamburg - Oliver Pause